Binancesta vietiin 29. lokakuuta 2026 arviolta 6,3–6,4 miljardin dollarin edestä kryptovaroja useissa lohkoketjuissa. Suurin osa siirroista tapahtui noin 20 minuutin aikana. Yhdysvaltain liittovaltion poliisi FBI syytti varkaudesta Pohjois-Korean TraderTraitor-ryhmää. Samaan aikaan lohkoketjuseuraajat jäljittivät varojen reittejä verkosta toiseen, ja THORChainin toimintahäiriö keskeytti kryptovaluuttojen vaihtoja hetkellisesti.
1
12
58
Summat ovat eri tutkijoiden arvioita, eivät yksi yhteisesti vahvistettu laskelma. On myös tärkeää erottaa toisistaan siirretyt varat, jäädytetyt varat ja asiakkaiden tappiot, jotka Binance on kertonut korvaavansa.
Mitä tapahtui – ja ketä siitä syytetään?
TRM Labs arvioi, että Binancen lompakoista lähti noin 6,36 miljardin dollarin edestä varoja kymmenessä lohkoketjussa. Suurin osa siirroista tapahtui noin 20 minuutissa alkaen kello 20.05 UTC. Muut analyysit päätyivät hieman erilaisiin lukuihin: Ellipticin arvio oli 6,43 miljardia dollaria 11 lohkoketjussa ja Bitqueryn noin 6,3 miljardia yhdeksässä lohkoketjussa. Erot johtuvat eri analyysitavoista; yhteistä, lopullista kokonaissummaa ei ole vahvistettu.
12
58
19
FBI sanoi Pohjois-Korean olevan varkauden takana ja nimesi toiminnan TraderTraitoriksi. FBI:n mukaan toimijat ovat muuntaneet varastettuja varoja pääasiassa etheriksi.
1 Pohjois-Korea kiisti syytöksen. CoinDeskin mukaan Kim Yo Jong kutsui väitteitä poliittiseksi provokaatioksi, ja Reutersin mukaan Pohjois-Korea luonnehti niitä ”absurdiksi retoriikaksi”.
56
48
Raporteissa on viitattu Binancen lompakoiden allekirjoitusprosessiin liittyvien järjestelmien vaarantumiseen. Käytettävissä oleva aineisto ei kuitenkaan muodosta kattavaa rikosteknistä selvitystä siitä, miten hyökkääjät pääsivät järjestelmiin.
5
16
Mitä varastetulle Solanalle tapahtui?
Marraskuun 4. päivänä julkaistujen lohkoketjuseurantaan perustuvien raporttien mukaan noin 81 prosenttia varkauteen yhdistetystä 970 522 SOL:n määrästä oli siirtynyt pois hyökkääjiin liitetyistä lompakoista. Arkhamin seurannan mukaan näissä lompakoissa oli tuolloin jäljellä 182 443 SOL:ia, jonka arvoksi arvioitiin noin 16,9 miljoonaa dollaria.
22
29
Raporteissa kuvattiin, kuinka SOL:ia jaettiin useisiin lompakoihin ja siirrettiin eri verkkojen välillä, muun muassa THORChainin kautta. Joissakin seurantaraporteissa reittiin kuului varojen muuntaminen USDC:ksi ja Ethereum-verkkoon siirtäminen ennen niiden ohjaamista kohti bitcoinia. Nämä ovat lohkoketjuseurannan tuloksia, eivät todiste siitä, että kaikki varat kulkivat samaa reittiä tai että siirretyt tokenit olisi myyty tai muutettu rahaksi.
23
29
Erottelu on tärkeä myös markkinavaikutuksia arvioitaessa. Yhden raportin mukaan SOL:n hinta laski lyhyellä aikavälillä varkauden aikana, mutta käytettävissä olevat lähteet eivät osoita, kuinka paljon tapaus vaikutti laajempiin hinnanmuutoksiin. Ne eivät myöskään vahvista laajempia väitteitä lokakuun kehityksestä, lyhyeksi myyntiin liittyvistä positioista, ETF-rahastojen rahavirroista tai pörssitalletuksista. Pelkkä varojen siirto pörssiin ei todista, että ne olisi myyty.
28
Miksi THORChain keskeytti vaihdot – ja mitä avattiin uudelleen?
Ethereum-lohkoketjun uudelleenjärjestely vaikutti 31. lokakuuta THORChainissa tehtyyn 10 ETH:n talletukseen. Raporttien mukaan protokolla palautti talletuksen virheellisesti kahteen kertaan ja keskeytti sen jälkeen vaihdot hätätoimena. Lohkoketjuanalyysiyritys Chainalysis sanoi keskeytyksen viivästyttäneen tahattomasti Binancen varkauteen liittyvien varojen siirtelyä, koska käyttäjät – myös epäillyt hyökkääjät – eivät voineet tehdä vaihtoja monien THORChainin siltojen kautta.
38
46
THORChain otti vaihdot uudelleen käyttöön v3.21.1-päivityksen jälkeen bitcoinille, Ethereumille ja yhdeksälle muulle listatulle omaisuuserälle. Uudelleenavaamista koskevan raportin mukaan Solana, BNB Smart Chain ja Cosmos Hub pysyivät keskeytettyinä.
41
Grey Ledgerin raportissa kerrottiin, että seurannassa olleisiin osoitteisiin liittyneet 41 vaihtoa valmistuivat 25 minuutin kuluessa vaihtojen avautumisesta ja niissä maksettiin ulos yhteensä 368,12 ETH:ta. Kyse on raportoidusta seurantatuloksesta, ei kattavasta selvityksestä varastettujen varojen määrästä tai todisteesta siitä, että kaikki vastaanottajaosoitteet olisivat olleet samojen toimijoiden hallussa.
42
FBI pyysi kryptopalveluita, myös THORChainin solmuoperaattoreita, rajoittamaan varkauteen liittyviä siirtoja. Viraston julkaisemassa listassa oli 608 Ethereum-osoitetta, 19 bitcoin-osoitetta ja yksi Solana-osoite. THORChainin itsenäisesti toimivat solmut tekevät monimutkaiseksi sen, miten tällainen pyyntö käytännössä vaikuttaa koko protokollaan.
34
40
60
Jäädytetyt varat, jäljellä olevat saldot ja asiakkaiden korvaukset
Ellipticin mukaan vakaavaluuttojen liikkeeseenlaskijat Tether ja Circle olivat jäädyttäneet varkauteen liittyviä varoja noin 2,8 miljardin dollarin edestä. Muissakin arvioissa jäädytettyjen tai pysäytettyjen varojen määrä nousi miljardeihin dollareihin, mutta luvut vaihtelevat lähteen ja raportointiajankohdan mukaan.
52
60
Erillisten arvioiden mukaan varkauteen yhdistetyissä osoitteissa oli noin 3,21–3,25 miljardin dollarin edestä varoja, pääosin bitcoinina ja etherinä. Nämä ovat tiettyyn ajankohtaan perustuvia seuranta-arvioita: varkauteen yhdistetyssä lompakossa oleva varallisuus ei tarkoita samaa kuin takaisin saatu varallisuus, eivätkä jäädytetyt varat ole sama asia kuin hyökkääjien hallussa olevat varat.
53
60
Binance sanoi korvaavansa asiakkaiden tappiot. Marraskuun 4. päivänä julkaistussa raportissa kerrottiin, että pörssi oli täydentänyt noin 98 prosenttia vaikutuksen kohteena olleesta määrästä. Asiakkaiden tappioiden korvaaminen on eri asia kuin varastetun kryptovaluutan palauttaminen sen vieneiltä henkilöiltä.
27
50
Mitä tiedot osoittavat – ja mitä eivät?
Vahvimmin lähteet tukevat tätä kokonaiskuvaa: kyseessä oli erittäin suuri ja nopea varkaus; FBI nimesi syylliseksi Pohjois-Korean TraderTraitor-ryhmän, minkä Pohjois-Korea kiisti; huomattava osa varastetusta SOL:sta siirtyi eteenpäin; ja THORChainin keskeytys pysäytti väliaikaisesti eri lohkoketjujen välisiä vaihtoja.
1
12
22
38
56
Käytettävissä olevat lähteet eivät kuitenkaan oikeuta pitämään jokaista raportoituja varojen reittiä vahvistettuna, rinnastamaan siirtoja onnistuneeseen rahaksi muuttamiseen tai sanomaan, että hakkerointi olisi todistetusti vaikuttanut Solanan laajempaan hintakehitykseen. Arviot jäädytetyistä varoista, varkauteen yhdistetyissä lompakoissa olevista varoista ja Binancen asiakkailleen korvaamasta määrästä kuvaavat eri asioita, ja ne on syytä pitää erillään.